Accord de sous-traitance de données personnelles

1. Parties et acceptation

Le présent accord est conclu entre :

Le Client, identifié lors de la création du compte ou de la souscription, agissant en qualité de responsable du traitement,

et

Alexadre SAMSON EI, entrepreneur individuel exerçant sous le nom commercial Ancarius, immatriculé sous le numéro SIREN 989 435 870, agissant en qualité de sous-traitant.

Le présent accord est accepté en même temps que les Conditions d’abonnement ou par toute autre modalité d’acceptation électronique permettant d’en conserver la preuve.

Il entre en vigueur à la date de cette acceptation et demeure applicable tant qu’Ancarius traite des données personnelles pour le compte du Client.

2. Objet

Le présent accord encadre les traitements de données personnelles réalisés par Ancarius pour le compte du Client dans le cadre de la fourniture du service.

Il complète les Conditions d’abonnement / CGV B2B et s’applique lorsque le Client utilise le service pour collecter, héberger, gérer ou exploiter des données personnelles relatives à ses propres clients, prospects ou contacts.

3. Description des traitements

Les traitements réalisés par Ancarius pour le compte du Client peuvent comprendre :

• collecte de données via QR code ;
• hébergement des données ;
• gestion des listes de contacts ;
• gestion des consentements, oppositions et désinscriptions ;
• création, programmation et exécution de campagnes ;
• suivi technique des campagnes ;
• export sur demande explicite du Client ;
• support ;
• journalisation de sécurité ;
• prévention des abus et usages non conformes.

La nature des opérations comprend notamment la collecte, l’enregistrement, l’organisation, la conservation, la consultation, l’utilisation, le rapprochement, la transmission aux prestataires d’envoi, la limitation, l’export et la suppression.

La finalité du traitement est de permettre au Client de collecter et gérer ses contacts, de conserver les preuves et préférences associées, et de préparer, programmer, exécuter et suivre ses campagnes conformément à ses instructions.

4. Durée

Les traitements sont réalisés pendant toute la durée du contrat principal.

À la fin du contrat, les données sont restituées ou supprimées selon les modalités prévues au présent accord, sous réserve des obligations légales de conservation, de la gestion des oppositions, de la sécurité et de la défense des droits.

5. Catégories de personnes concernées

Les personnes concernées peuvent être :

• clients finaux du Client ;
• prospects du Client ;
• contacts du Client ;
• personnes inscrites via un formulaire ou QR code mis en place par le Client ;
• personnes destinataires ou potentielles destinataires de campagnes.

6. Catégories de données

Les données traitées peuvent comprendre :

• e-mail ;
• numéro de téléphone ;
• nom ou prénom lorsque le formulaire le prévoit ;
• données d’inscription ;
• consentements ;
• oppositions et désinscriptions ;
• métadonnées de campagne ;
• statuts techniques d’envoi ;
• journaux techniques et de sécurité ;
• données strictement nécessaires au support et à la preuve de conformité.

Le Client s’interdit d’utiliser le service pour traiter des données sensibles, des données de mineurs ou des catégories de données à risque élevé sans accord écrit préalable de Ancarius et analyse de conformité adaptée.

7. Instructions documentées

Ancarius traite les données uniquement sur instruction documentée du Client, notamment par l’utilisation du service, la configuration des formulaires, la création de campagnes, la programmation d’envois, la gestion des contacts et les demandes écrites adressées au support.

Ancarius informe le Client si, selon lui, une instruction constitue une violation manifeste de la réglementation applicable, sauf interdiction légale.

Les instructions du Client couvrent également les transferts nécessaires à l’exécution du service vers les sous-traitants ultérieurs autorisés.

Si Ancarius est légalement tenu de traiter ou transférer des données en dehors des instructions du Client, Ancarius en informe préalablement le Client, sauf interdiction prévue par la loi.

8. Non-réutilisation des données du Client

Ancarius n’utilise pas les données confiées par le Client ou collectées pour son compte à des fins propres de prospection, de revente, de location, de mutualisation de base de contacts ou d’enrichissement commercial.

Sauf accord exprès, écrit et distinct du Client, Ancarius n’utilise pas ces données pour entraîner des modèles d’intelligence artificielle, constituer des bases d’apprentissage ou améliorer des systèmes d’IA pour ses propres finalités.

9. Confidentialité

Ancarius veille à ce que les personnes autorisées à traiter les données personnelles s’engagent à respecter la confidentialité ou soient soumises à une obligation appropriée de confidentialité.

L’accès aux données est limité aux personnes ayant besoin d’en connaître pour fournir, sécuriser, maintenir ou supporter le service.

10. Sécurité

Ancarius met en œuvre des mesures techniques et organisationnelles appropriées destinées à protéger les données personnelles.

Ces mesures peuvent notamment comprendre :

• contrôle d’accès ;
• authentification ;
• chiffrement en transit ;
• chiffrement ou protection renforcée de certaines données ;
• séparation logique des données ;
• limitation des accès ;
• journalisation de sécurité ;
• sauvegardes ;
• tests et maintenance ;
• procédures d’incident ;
• procédures de restauration ;
• minimisation des données dans les logs.

Le Client reconnaît que la sécurité du traitement dépend également de sa propre utilisation du service, de la qualité de ses mots de passe, de la gestion de ses accès, de ses exports et de ses instructions.

11. Sous-traitants ultérieurs

Le Client autorise Ancarius à recourir aux sous-traitants ultérieurs listés en annexe.

Ancarius informe le Client de toute évolution substantielle de cette liste dans un délai raisonnable et lui permet, le cas échéant, d’émettre une objection motivée.

En cas d’objection légitime ne permettant plus la fourniture normale du service, les parties peuvent convenir d’une solution adaptée ou mettre fin au contrat dans les conditions prévues aux Conditions d’abonnement.

12. Aide au responsable de traitement

Ancarius aide le Client, dans la mesure du possible et compte tenu de la nature du traitement :

• à répondre aux demandes d’exercice de droits ;
• à assurer la sécurité des traitements ;
• à documenter et gérer les violations de données ;
• à fournir les informations utiles en cas d’analyse d’impact ;
• à répondre aux demandes d’une autorité compétente.

Cette assistance est fournie dans des conditions raisonnables. Lorsqu’une demande nécessite un travail spécifique important, elle peut faire l’objet d’une facturation complémentaire après information du Client.

13. Demandes des personnes concernées

Si Ancarius reçoit directement une demande d’exercice de droits concernant des données traitées pour le compte du Client, Ancarius peut :

• transmettre la demande au Client ;
• inviter la personne concernée à contacter le Client ;
• ou assister le Client dans le traitement de la demande lorsque cela est nécessaire.

Le Client reste responsable de la réponse à apporter aux personnes concernées, sauf lorsque Ancarius agit pour ses propres traitements.

14. Violation de données

Ancarius notifie au Client toute violation de données personnelles affectant les données traitées pour son compte dans les meilleurs délais après en avoir pris connaissance.

La notification contient, dans la mesure des informations disponibles :

• la nature de l’incident ;
• les catégories de données concernées ;
• les conséquences probables ;
• les mesures prises ou proposées ;
• les informations utiles permettant au Client de respecter ses propres obligations.

Des informations complémentaires peuvent être communiquées au fur et à mesure de l’analyse de l’incident.

15. Export sur demande

Aucun export autonome en libre-service n’est fourni au stade actuel.

Le Client peut demander l’export de ses données par écrit à support@ancarius.com.

Ancarius peut prendre des mesures raisonnables pour vérifier l’identité et l’autorisation du demandeur avant tout export.

L’export est fourni dans un format électronique usuel lorsque cela est techniquement possible et sous réserve des droits des tiers, de la sécurité et des obligations légales.

16. Sort des données en fin de contrat

Au terme des prestations impliquant un traitement de données personnelles, Ancarius, selon le choix du Client :

• restitue les données dans un format électronique usuel ; ou
• supprime les données personnelles traitées pour son compte.

Ancarius supprime également les copies existantes, sauf lorsqu’une disposition légale impose leur conservation.

Les données éventuellement conservées par Ancarius pour ses propres obligations légales ou pour la défense de ses droits sont strictement limitées, placées en archivage intermédiaire et traitées par Ancarius en qualité de responsable du traitement pour cette seule finalité.

17. Audit et information

Ancarius met à disposition du Client les informations raisonnablement nécessaires pour démontrer le respect de ses obligations de sous-traitant.

Les audits ne doivent pas porter atteinte à la sécurité, à la confidentialité, aux secrets d’affaires, aux données d’autres clients ou à la disponibilité du service.

Tout audit doit être précédé d’un préavis raisonnable, être limité à ce qui est nécessaire et être réalisé dans des conditions compatibles avec l’activité de Ancarius.

Ces modalités ne peuvent avoir pour effet d’empêcher un audit ou une inspection requis par la réglementation ou par une autorité compétente.

Ancarius contribue aux audits raisonnablement nécessaires et fournit les informations disponibles permettant de démontrer le respect de ses obligations.

18. Transferts hors UE

Les données sont hébergées et configurées pour être traitées prioritairement sur des infrastructures européennes lorsque le service le permet.

Tout transfert de données personnelles hors Union européenne ou Espace économique européen est encadré conformément au chapitre V du RGPD, notamment par des garanties appropriées lorsque cela est nécessaire.

19. Annexe – Sous-traitants autorisés

Les sous-traitants autorisés sont :

• Vercel ;
• Supabase ;
• Stripe ;
• SMSAPI ;
• AWS SES ;